Protección contra ARP Spoofing Una guía multiplataforma. Para prevención de ARP Spoofing se utilizarán los comandos netstat y arp ya que es el mismo procedimiento para la mayoría de sistemas operativos. La detección se llevará acabo de forma manual con el comando arp y con el mejor sniffer multiplataforma Wireshark. La ultima sección cubre monitoreo automatizado en Windows usando DecaffeinatID y en Linux con arpwatch. Prevención de ARP Spoofing Paso 1: Obtenemos el IP del Gateway netstat -rn Muestra en forma numérica la tabla de ruteo, hay una columna que muestra el IP del Gateway. En el ejemplo el IP es 6.9.6.9. Paso 2: Obtenemos la dirección MAC del Gateway arp -a Lista la tabla ARP, buscamos el IP del Gateway y a un lado tendremos su MAC. En el ejemplo 6.9.6.9 tiene MAC 00:18:3f:16:19:49. Hacer esto cuando se este seguro que no nos están atacando y que el MAC si es el original. Paso 3: arp -s <IP> <MAC> Agrega una entrada estática a la tabla ARP. Podemos comprobar que se ha puesto una entrada estática si listamos de nuevo la tabla con arp -a y podemos observar que hay una entrada PERManente. Para borrar esa entrada permanente utilizamos el comando arp -d <IP> En Windows lo único que cambia es el formato los comandos y el procedimiento es exactamente el mismo: En este caso como no teníamos el gateway en la tabla arp utilizamos ping <IP> para resolverlo y que se agregue automáticamente a la tabla Detección de ARP SPoofing Tan sencillo como verificar que la MAC listada en arp -a sea la MAC verdadera de nuestro Gateway. Para obtener el MAC autentico del Gateway debemos seguir los pasos 1 y 2 explicados anteriormente, cuando estemos seguros de que no estamos siendo atacados. Es por eso que recomiendo tener una lista de direcciones MAC autenticas del Gateway de los lugares donde creamos que podamos ser víctima de ARP Spoofing, ej. casa, oficina, café internet, etc. Wireshark http://www.wireshark.org Wireshark es un sniffer que corre en los tres sistemas operativos y tiene, entre sus múltiples funciones, la detección de ARP Spoofing Podemos agregar como Filtro: arp y observar las siguientes características en el trafico: 1 Un host esta anunciando su MAC sin que otros hosts se lo pidan 2 Un host solicita la MAC y hay dos respuestas de la misma IP con MAC diferente 3 Wireshark detecta el spoof: "duplicate use of <IP> detected!" Monitoreo automatizado de ARP Spoofing Para el monitoreo automático es necesario diferentes programas para diferentes sistemas operativos solo nombrare los que a mi me parecen interesantes. No son los mejores, los mejores podrían ser un Snort o algun otro IDS bien configurado. [WINDOWS] DecaffeinatID http://www.irongeek.com/i.php?page=security/decaffeinatid-simple-idsarpwatch-for-windows DecaffeinatID es un programa hecho en AutoIT por IronGeek (http://www.irongeek.com) funciona en Windows XP y Vista. Esta constantemente checando los Event y Firewall logs y te alerta cuando hay un cambio del MAC del Gateway. [LINUX] Arpwatch fue publicado en el 2003 por LBL Research Group (http://www.lbl.gov/) usa libpcap y monitorea cambios en las relaciones de IP - MAC. Alerta via correo y con mensajes en los logs. sudo arpwatch -i <INTERFACE> Este comando no regresa nada, pero cuando un cambio en MAC/IP es detectado, muestra un mensaje en el /var/log/syslog (o /var/log/message). tail -f /var/log/syslog Con este comando monitoreamos el final del /var/log/syslog. En este ejemplo observamos como el arpwatch manda una alerta por correo con sendmail. REFERENCIAS: How do I check the default gateway on an unix/linux machine http://www.dslreports.com/forum/r19287746-How-do-I-check-the-default-gateway-on-anunixlinux-machine Detect and Counter ARP Poisoning under Windows and Linux http://linux-tipps.blogspot.com/2008/06/detect-and-counter-arp-poisoning-under.html How to: Detect ARP Spoofing under UNIX or Linux http://www.cyberciti.biz/faq/how-to-detect-arp-spoofing-under-unix-or-linux/ [email protected] 11/12/2008